Georg Thieme Verlag KG
kma Online

OLG KarlsruheKein Ausschluss aus Vergabeverfahren von US-Cloud-Anbietern

Bei öffentlichen Vergabeverfahren im Gesundheitswesen dürfen weiter Tochtergesellschaften von US-amerikanischen Cloud-Dienst-Anbietern genutzt werden. Das hat das Oberlandesgericht Karlsruhe klargestellt. Die vorangegangene Einschätzung der Vergabekammer Baden-Württemberg wurde damit verworfen.

Rechtsspruch
Memyjo/stock.adobe.com

Symbolfoto

„Die Anbieterin eines digitalen Entlassmanagements für Patienten ist nicht allein deswegen aus einem Vergabeverfahren zweier kommunaler Krankenhausgesellschaften auszuschließen, weil sie die luxemburgische Tochtergesellschaft eines US-amerikanischen Unternehmens als Hosting-Dienstleisterin einbinden will. Die öffentlichen Auftraggeber dürfen sich vielmehr auf die bindenden Zusagen der Anbieterin verlassen, dass die Daten ausschließlich in Deutschland verarbeitet und in kein Drittland übermittelt werden.“

Mit diesen Worten hat der Vergabesenat des Oberlandesgericht (OLG) Karlsruhe in seinem Beschluss vom 7. September 2022 (Aktenzeichen: 15 Verg 8/22) eine Entscheidung der Vergabekammer Baden-Württemberg (VK Baden-Württemberg; Aktenzeichen: 1 VK 23/22) vom 13. Juli 2022 aufgehoben. Der Einführung eines digitalen Entlassmanagements bei einem großen Krankenhausträger in Süddeutschland durch die Recare Deutschland GmbH steht damit nichts mehr im Wege.

Datenverarbeitung durch europäische Töchter grundsätzlich möglich

Der OLG-Beschluss betont, dass die Datenverarbeitung bei öffentlichen Vergabeverfahren weiterhin durch eine europäische Tochtergesellschaft von US-amerikanischen Cloud-Dienst-Anbietern erfolgen darf, solange die Zusicherung erfolgt, dass die personenbezogenen Daten in Deutschland verarbeitet werden. Maximilian Greschke, Co-Founder und CEO von Recare, zum Beschluss: „Wir haben mit keinem anderen Urteil gerechnet, weil es nur richtig ist, sich so zu entscheiden. Mit dem Entlassmanagement agieren wir in einem datenschutzrechtlich hochsensiblen Umfeld — und sind uns dieser Verantwortung bewusst. Wir prüfen daher sowohl unser eigenes technisches Vorgehen als auch das unserer Dienstleister und Kooperationspartner in Bezug auf Datenschutz sehr genau“.

Umstrittene Entscheidung der Vergabekammer

Recare hatte das Vergabeverfahren bereits gewonnen, als ein Mitbewerber erfolgreich einen Nachprüfungsantrag bei der VK Baden-Württemberg dagegen einreichte. Die Vergabekammer hatte dem Antrag aus datenschutzrechtlichen Bedenken mit der Begründung stattgegeben, dass allein das Hosting auf Servern von europäischen Töchtern US-amerikanischer Mütter in Europa bereits ein latentes Risiko für den Zugriff durch die US-Muttergesellschaften oder gar US-Behörden bedeuten würde. Dieser Beschluss sorgte in der Folge bundesweit sowohl in Tagesmedien als auch der Datenschutz-Community für viel Furore, da er keine vollständige Einzelfallbetrachtung des Vergabeverfahrens konzentriert hatte. Auch der Landesdatenschutzbeauftragte Baden-Württemberg hatte deutliche Kritik am Vorgehen und der Entscheidung der VK Baden-Württemberg geübt.

Einhergehen von Datenschutz und Technologie

„Durch die Kombination von Ende-zu-Ende-Verschlüsselung und Pseudonymisierung kann weder unser Clouddienstleister noch wir eine Zuordnung der verarbeiteten Daten zu natürlichen Personen durchführen. Mit einfachen Worten und generell ausgedrückt bedeutet das: Selbst wenn US-amerikanische Muttergesellschaften oder gar US-Behörden auf die Daten zugreifen wollen würden, hätten sie keine realistische Chance, einen Personenbezug herzustellen. So ergänzen sich Datenschutz und Technologie. Statt regelmäßigen emotionalen Diskussionen brauchen wir eine tiefere, sachliche Betrachtung der inzwischen ausgereiften und zuverlässigen technischen Möglichkeiten des Betreiberausschlusses“, betont Greschke.

Hoffnung für ein positives Signal in Richtung Innovation

Es dürfe nicht sein, dass der Digitalisierung unnötig Steine in den Weg gelegt werden, statt Innovation zuzulassen oder sie sogar zu forcieren. „Mit dem Krankenhauszukunftsgesetz hat der Gesetzgeber allen Playern im deutschen Gesundheitswesen den klaren Auftrag gegeben, bis spätestens Ende 2024 stabile und tragfähige Lösungen zu implementieren. Das schaffen wir nicht, wenn wir uns überwiegend auf theoretische Bedrohungsszenarien konzentrieren“, so Greschke. Daher freue er sich in doppelter Hinsicht über das Urteil: Für Recare wegen des gewonnenen Vergabeverfahrens, aber gleichzeitig auch darüber, dass mit dem Ergebnis hoffentlich ein positives Signal in Richtung Innovation und Planungssicherheit für das deutsche Gesundheitswesen gesetzt wurde.

Bitte loggen Sie sich ein, um einen neuen Kommentar zu verfassen oder einen bestehenden Kommentar zu melden.

Jetzt einloggen

  • Derzeit sind noch keine Kommentare vorhanden. Schreiben Sie den ersten Kommentar!